――22年に大阪急性期・総合医療センターが、ランサムウェアによる大規模なサイバー攻撃に遭い、救急や外来診療が2カ月も麻痺しました。この事案の調査委員長を務められましたが、どのような教訓を得られましたか。
やはりベンダーへの過信は1つの課題。高額な費用で大手ベンダーが構築したシステムだから大丈夫だろう、何か起きてもベンダーが何とかしてくれるだろうという感覚があったのだと思います。
しかも、この事故が起きる1年前に、徳島県の病院でほぼ同じ原因による被害が発生し、分厚い調査報告書も公開されていました。でも、多くの組織でそういった報告書を細かく読まれる方はごくわずかです。そして、同じような事故が起き続けています。
医療業界に限らず、他人事にしてはいけない事故が発生しても、「自分たちは大丈夫」と考えてしまうことも問題ですね。日頃の準備をしていない企業や組織が多すぎます。
――同総合医療センターの事案は、「サプライチェーンを介した攻撃」として報道されました。この部分についてはどうお考えでしょうか。
給食提供事業者のシステムを経由して侵入されたことから、サプライチェーン攻撃として扱われていますが、単純に「請負業者が悪い」と片付ける風潮には問題があると感じています。
請負業者は大きな利益を得ているわけではない中で事業を回しています。そこに潤沢なセキュリティ対策を施してモニタリングしろというのは、これはまた別の話です。自組織のネットワークに外部の業者を接続させている以上、発注元がそのリスクを把握して管理する責任もあったはずです。サプライチェーンの話になると、下流の業者が悪いという論調になりがちですが、上流側にも相応の責任があるからこそ経営者のセキュリティ意識が重要になると考えています。
セキュリティは｢投資｣ではなく｢必須コスト｣
――組織はどのようにセキュリティ対策に取り組めばよいのでしょうか。
セキュリティを「投資」として捉えないほうがよいと考えています。セキュリティ対策のためのツール導入には莫大な費用がかかりますが、これを投資と考えていると、事故が起きなければその費用が無駄になったと錯覚してしまうんです。
でも、セキュリティは何も起きなかったことこそが最善の成果。費用対効果を求める「投資」ではなく、組織を守るための「当たり前の必須コスト」として捉える意識転換が必要です。
また、セキュリティ担当者をきちんと評価してほしいですね。何も起きないことが最善の成果であるにもかかわらず、その功績が見えにくいために、評価やキャリア形成で不利になっている人は少なくありません。組織を守るために日夜奮闘している人たちを正当に処遇する仕組みを、ぜひ組織内に作っていただきたいと思います。
